根据CNIL的报告,黑客正使用来自这些泄露数据的登录名和密码连接到Uber的GitHub存储库,然后再设法连接到Uber的亚马逊网络服务帐户并下载用户数据,更夸张的是AWS登录信息以纯文本格式存储在GitHub上。
CNIL表示,其实只要做到以下任何一点,这一巨大危机本身并不难以避免:
Uber只需要为私有GitHub存储库强制进行双因素身份验证。
Uber没有在GitHub上以纯文本形式存储AWS登录信息(这是网络安全的基本操作)。
Uber使用IP白名单连接到AWS。
遗憾的是,Uber首先试图通过向黑客支付10万美元来删除数据集来掩盖违规行为,后来东窗事发。
对Uber来说,唯一好消息是欧盟GDPR来得晚了一点,目前,如果一家公司在72小时内没有向相关机构报告违规行为,他们最终可能会被罚款高达公司全球年营业额的4%。
英国和荷兰当局此前分别对Uber罚款490000美元和690000美元(385,000英镑和600,000欧元)。
本文素材来自互联网